搜索

[905] 2019-04-24_安全编码实践之三：身份验证和会话管理防御

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2019-04-24_安全编码实践之三：身份验证和会话管理防御 安 全 编 码 实 践 之 三 ： 身 份 验 证 和 会 话 管 理 防 御 原 创   B y p a s s   B y p a s s   2 0 1 9 - 0 4 - 2 4 如 何 编 写 安 全 代 码 ？ 保 护 自 己 免 受 脆 弱 的 身 份 验 证 和 会 话 管 理 ！ 需 要 安 全 代 码 ？ 需 要 安 全 代 码 ？ 我 一 直 致 力 于 安 全 编 码 实 践 ， 并 试 图 尽 可 能 多 地 学 习 基 本 要 点 。 在 过 去 的 几 年 里 ， 我 已 经 意 识 到 一 个 小 小 的 漏 洞 在 普 通 人 的 生 活 中 可 能 造 成 的 伤 害 。 像 W a n n a C r y 和 P e t y a 勒 索 软 件 这 样 的 网 络 攻 击 在 几 个 遭 受 其 原 因 的 人 心 目 中 是 相 当 新 鲜 的 。 研 究 人 员 仍 然 可 以 在 网 络 应 用 程 序 和 其 他 领 域 中 发 现 另 一 个 非 常 严 重 的 错 误 。 除 非 程 序 员 自 己 意 识 到 他 们 正 在 编 写 的 代 码 ， 否 则 这 种 趋 势 不 会 下 降 。 代 码 不 仅 应 该 能 够 执 行 它 应 该 执 行 的 预 期 工 作 ， 而 且 还 能 够 抵 御 任 何 恶 意 负 载 和 攻 击 场 景 。 实 现 这 一 目 标 的 最 佳 方 式 是 能 够 在 编 码 和 安 全 社 区 之 间 建 立 协 同 作 用 ， 并 相 互 帮 助 。 我 们 来 挖 掘 吧 ！ 我 们 来 挖 掘 吧 ！ 那 么 ， 这 篇 特 别 的 文 章 “ 如 何 编 写 安 全 代 码 ？ ” 专 注 于 身 份 验 证 和 会 话 管 理 问 题 。 身 份 验 证 和 会 话 管 理 相 关 的 应 用 程 序 功 能 存 在 安 全 缺 陷 ， 允 许 攻 击 者 破 坏 密 码 ， 密 钥 ， 会 话 令 牌 或 利 用 其 他 实 现 缺 陷 来 承 担 其 他 用 户 的 身 份 。 在 本 文 中 ， 我 将 介 绍 几 种 不 同 类 型 的 攻 击 和 方 法 ， 您 可 以 使 用 它 们 来 防 止 它 们 ：   1 . 硬 编 码 登 录 凭 据 硬 编 码 登 录 凭 据 硬 编 码 登 录 凭 据 是 程 序 员 可 以 犯 的 最 大 错 误 之 一 ， 因 为 它 与 在 银 盘 上 为 黑 客 提 供 凭 证 一 样 好 。 敏 感 数 据 永 远 不 应 该 是 硬 编 码 的 。 不 安 全 的 代 码   -   硬 编 码 的 信 用 卡 上 面 的 代 码 是 其 中 一 个 示 例 ， 其 中 登 录 凭 证 在 程 序 员 编 写 的 代 码 中 进 行 了 硬 编 码 。 虽 然 下 面 的 代 码 是 一 个 示 例 ， 其 中 凭 证 在 程 序 中 没 有 硬 编 码 ， 使 得 它 比 信 用 卡 硬 编 码 的 指 数 更 加 安 全 。
安 全 代 码   -   信 用 证 不 是 硬 编 码 的 这 种 小 差 异 会 对 应 用 程 序 的 安 全 性 产 生 巨 大 影 响 。 2 .   C o o k i e 操 作 操 作 随 着 越 来 越 多 的 身 份 验 证 过 程 通 过 检 查 用 户 提 供 的 c o o k i e 细 节 来 执 行 ， C o o k i e 操 作 正 在 成 为 当 今 最 危 险 的 攻 击 之 一 。 攻 击 者 正 在 寻 找 方 法 来 打 破 并 弄 清 楚 网 络 应 用 程 序 如 何 分 配 c o o k i e ， 以 便 他 们 可 以 操 纵 它 们 并 像 其 他 用 户 进 行 帐 户 接 管 一 样 构 成 。 让 我 演 示 攻 击 者 如 何 利 用 分 配 给 用 户 的 弱 c o o k i e 或 者 c o o k i e 保 持 不 变 。   这 边 的 图 像 是 一 个 登 录 门 户 ， 我 们 将 进 行 攻 击 并 显 示 弱 c o o k i e 实 现 的 问 题 。 一 旦 我 们 登 录 到 应 用 程 序 ， 我 们 就 会 拦 截 B u r p - S u i t e 中 的 流 量 ， 以 查 看 它 以 及 传 递 给 用 户 身 份 验 证 我 们 的 c o o k i e 。
C o o k i e 细 节 上 图 显 示 了 我 们 尝 试 登 录 时 分 配 的 四 个 “ S e t - C o o k i e ” 参 数 。 这 四 个 不 同 的 c o o k i e 登 录 ， P H P S E S S I D ， 显 示 提 示 ， 用 户 名 和 u i d 。 我 们 怀 疑 u i d 对 每 个 用 户 都 是 唯 一 的 。 所 以 我 们 继 续 篡 改 u i d 以 检 查 我 们 是 否 可 以 访 问 其 他 人 的 帐 户 。 修 改 c o o k i e 要 捕 获 c o o k i e 的 值 ， 我 们 使 用 浏 览 器 中 存 在 的 C o o k i e   M a n a g e r 扩 展 ， 然 后 传 递 请 求 。 我 们 将 “ u i d ” 从 2 4 改 为 1 2 ， 如 下 所 示 。
修 改 过 的 c o o k i e 一 旦 我 们 修 改 了 c o o k i e 值 ， 我 们 就 可 以 看 到 ， 当 我 们 访 问 其 他 用 户 的 帐 户 时 ， 我 们 已 经 执 行 了 帐 户 接 管 攻 击 。 这 次 攻 击 经 历 的 原 因 是 ， 在 用 户 登 录 之 前 和 之 后 ， P H P S E S S I D 根 本 没 有 被 修 改 ， 因 此 “ u i d ” 是 识 别 哪 个 用 户 刚 刚 登 录 到 他 们 帐 户 的 唯 一 决 定 因 素 。 正 如 我 们 上 面 所 看 到 的 那 样 ， 很 容 易 被 操 纵 ， 允 许 帐 户 接 管 。 为 了 避 免 这 种 情 况 发 生 ， 我 们 需 要 在 登 录 尝 试 后 重 新 分 配 c o o k i e ， 我 们 需 要 记 住 ， c o o k i e 也 必 须 是 唯 一 的 。 以 下 是 如 何 执 行 以 下 操 作 的 想 法 。 上 面 的 代 码 用 于 在 登 录 前 后 更 改 S E S S I O N I D   c o o k i e 。 3 . 通 过 通 过 W e b 服 务 进 行 用 户 枚 举 服 务 进 行 用 户 枚 举 枚 举 问 题 非 常 严 重 ， 因 为 它 可 以 让 攻 击 者 弄 清 楚 应 用 程 序 中 存 在 的 用 户 的 用 户 名 / 电 子 邮 件 I D ， 以 下 细 节 可 以 在 以 后 用 于 暴 力 攻 击 。 我 们 使 用 W i d s l e r 扩 展 并 利 用 它 的 “ g e t u s e r ” 功 能 对 B u r p - S u i t e 进 行 此 攻 击 。 因 此 ， 当 我 们 输 入 有 效 的 用 户 名 时 ， 我 们 尝 试 从 系 统 收 集 响 应 ， 然 后 我 们 输 入 一 个 不 是 用 户 名 的 随 机 字 符 串 ， 然 后 检 查 响 应 。 我 们 可 以 在 下 面 的 图 像 中 看 到 相 应 的 响 应 。 / / 问 题 是 正 在 使 用 相 同 的 会 话 对 象 ， 因 此 获 取 当 前 会 话 H t t p S e s s i o n   b e f o r e _ l o g i n   =   r e q u e s t . g e t S e s s i o n （ ） ; / / 使 该 会 话 无 效 b e f o r e _ l o g i n . i n v a l i d a t e （ ） ; / / 生 成 一 个 新 会 话 ， 新 的 J S E S S I O N I D H t t p S e s s i o n   a f t e r _ l o g i n   =   r e q u e s t   . g e t S e s s i o n （ t r u e ） ;
用 户 不 存 在 上 面 的 图 像 是 我 们 在 具 有 特 定 用 户 名 的 用 户 不 存 在 时 收 到 的 请 求 和 响 应 。 我 们 在 转 发 器 中 发 送 了 请 求 查 询 以 检 查 响 应 。 用 户 确 实 存 在 上 面 的 图 像 是 我 们 收 到 的 用 户 确 实 存 在 的 条 件 的 请 求 和 响 应 。 我 们 在 转 发 器 中 发 送 了 请 求 查 询 以 检 查 响 应 ， 并 在 此 次 获 得 了 不 同 的 响 应 。 这 给 了 我 们 一 个 想 法 ， 我 们 可 以 根 据 我 们 收 到 的 响 应 来 枚 举 用 户 。
因 此 ， 我 们 在 入 侵 者 选 项 卡 中 传 递 请 求 ， 然 后 执 行 蛮 力 来 检 查 使 用 该 应 用 程 序 的 各 个 用 户 。 枚 举 的 用 户 名 这 里 的 主 要 问 题 是 开 发 人 员 实 际 上 在 响 应 查 询 中 放 了 太 多 细 节 。 正 如 在 这 次 攻 击 中 我 们 可 以 清 楚 地 看 到 ， 由 于 响 应 中 的 信 息 太 多 ， 我 们 可 以 弄 清 楚 哪 些 用 户 具 有 相 应 的 用 户 名 ， 哪 些 用 户 没 有 。 我 们 需 要 制 作 一 些 标 准 化 的 消 息 ， 以 便 攻 击 者 不 能 仅 仅 使 用 一 些 简 单 的 枚 举 技 术 。 4 . 暴 力 攻 击 暴 力 攻 击 这 是 攻 击 者 通 过 前 一 种 方 法 枚 举 用 户 及 其 用 户 名 后 执 行 的 下 一 阶 段 攻 击 。
旁 边 的 图 像 显 示 我 们 已 经 枚 举 用 户 的 登 录 页 面 ， 需 要 执 行 暴 力 攻 击 才 能 知 道 这 些 用 户 的 登 录 凭 据 。 因 此 ， 当 我 们 尝 试 登 录 时 ， 我 们 拦 截 B u r p - S u i t e 中 的 流 量 并 捕 获 请 求 数 据 包 并 将 其 发 送 给 入 侵 者 。 请 求 查 询 现 在 ， 我 们 已 经 枚 举 了 用 户 名 ， 我 们 执 行 命 中 和 尝 试 ， 暴 力 攻 击 。 我 们 从 互 联 网 上 获 取 一 组 常 用 密 码 并 运 行 我 们 的 攻 击 以 找 出 相 应 的 密 码 。 通 过 B u r p - S u i t e 进 行 蛮 力 攻 击 在 任 何 情 况 下 都 绝 不 允 许 暴 力 进 攻 。 应 始 终 存 在 帐 户 锁 定 功 能 ， 因 为 它 可 以 使 应 用 程 序 免 于 暴 力 破 解 并 喷 出 用 户 凭 据 。 蛮 力 也 可 以 通 过 允 许 用 户 不 使 用 字 典 单 词 ， 使 用 一 定 长 度 的 密 码 更 好 地 要 求 他 们 使 用 密 码 来 抵 消 。 在 存 储 之 前 ， 应 始 终 对 用 户 的 密 码 进 行 哈 希 处 理 ， 使 用 带 哈 希 值 的 盐 也 非 常 重 要 。 安 全 防 御 安 全 防 御
我 们 可 以 采 取 以 下 预 防 措 施 ， 并 在 尝 试 与 身 份 验 证 和 会 话 管 理 问 题 作 斗 争 时 保 留 这 些 心 理 记 录 。 认 证 失 败 认 证 失 败 提 示 错 误 / 成 功 消 息 永 远 不 要 硬 编 码 凭 证 密 码 策 略 执 行 （ 成 熟 ， 强 度 ， 盐 的 哈 希 ） 会 话 管 理 会 话 管 理 令 牌 的 不 可 预 测 性 （ 即 安 全 随 机 性 ） 到 期 策 略 ， 登 录 / 注 销 重 置 使 用 强 加 密 复 杂 的 C o o k i e 安 全 性 声 明 ： 本 文 由 B y p a s s 整 理 并 翻 译 ， 仅 用 于 安 全 研 究 和 学 习 之 用 。   文 章 来 源 ： h t t p s : / / m e d i u m . c o m / b u g b o u n t y w r i t e u p / h o w - t o - w r i t e - s e c u r e - c o d e - d 4 8 2 3 b c 2 e 8 6 d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理